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Conftdenziale 


Autorita Garante per la protezione del dati personal! 
Piazza di Monte Citorio n. 121 
00186 ROMA 

Dipartimento Comunicazioni e Reti Telematiche 

Rif:DCRT/GP/125145 

Data: 9 Novembre 2018 


Egregi Sig.ri, 

Oggetto: Invio di chiarimenti a seguito della richiesta di informazioni dell’ll maggio 2018 

Vi scrivo per conto di Facebook Ireland Limited ("Facebook Ireland") per quanto riguarda la vostra 
richiesta di informazioni ricevuta venerdi 11 maggio 2018 {la "Richiesta") e la vostra ulteriore 
richiesta di informazioni inviata il 26 ottobre 2018 relativa al nostro strumento Ballot (i.e. Candidati) 
(r"Ultenore Richiesta"). Abbiamo risposto alia Richiesta con Ire comunicazioni datate 21 maggio, 
13 e 15 giugno 2018 (collettivamente, la "Risposta"). Con la presente rispondiamo alle domande 
della Ulteriore Richiesta e, nella speranza sia di vostra utility, forniamo ulteriori informazioni 
rilevanti per la Richiesta. 

Al fine di evitare fraintendimenti, Facebook Ireland rimanda alle informazioni e alle argomentazioni 
espresse in precedenza nella Risposta, che quindi non sono riproposte nella presente 
comunicazione. 

Ci auspichiamo che le informazioni contenute nella presente risposta siano mantenute 
strettamente confidenziali. Chiediamo rispettosamente la possibilita di integrare o modificare la 
nostra risposta, se necessario. Facebook Ireland chiede inoltre rispettosamente che tali 
informazioni siano protette dalla divulgazione e che siano mantenute riservate ai sensi di tutte le 
ieggi applicabili in materia di liberta di informazlone. Facebook Ireland richiede Inoltre di avvisare la 
sottoscritta e di dare alia stessa I’opportunita di essere ascoltata nel caso in cui decidiate di 
divulgare qualsiasi informazlone fornita da Facebook Ireland. 

Fatte salve le questioni general! sopra indicate, condividiamo con voi le informazioni riportate di 
seguito, che sono principalmente pertinenti alle domande da (a) a (d) della Richiesta, relative alia 
question© Cambridge Analytics e alle domande da (h) a (j) della Richiesta. relative all’accesso ai 
dati degli utenti Facebook da parte di terzi. Non esitate a contattarci se avete ulteriori domande o 
desiderate chiarimenti su qualsiasi punto. 

I. Legge applicabile e foro comoetente 

In via preliminare, ribadiamo la nostra posizione secondo cui Facebook Ireland e I'unico titolare del 
trattamento per tutti g!i utenti UE del servizio Facebook, compresi gli utenti italiani. 

Forniamo ia presente Risposta su base volontaria e fermo restando che prima deli’entrata in vigore 
del Regolamento UE 2016/679 - "GDPR" - it funzionamento del servizio Facebook in Europe era 
disciplinato dalle Ieggi irlandesi sulla protezione dei dati personal! ed era soggetto alia 
regolamentazione deW'Irish Data Protection Commissioner {'WPC"). Questo comprenderebbe tutte 
le questioni menzionate nella Richiesta relative a fatti e circostanze verificatisi prima del 25 maggio 
2018. 
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Dall'entrata in vigore del GDPR, ai sensi deirarticolo 56, paragrafo 1, TIDPC e I'autorita di controlio 
capofila per quanto riguarda il servizio Facebook nell'UE. Se codesta Autorita avesse qualche 
preoccupazione in reiazione al trattamento transfrontaliero effettuato da Facebook Ireland 
neil’ambito del GDPR, dovrebbe fare riferimento all'IDPC come nostro "unico interlocutore" su tali 
question! ai sensi delle disposizioni deH’articolo 56, paragrafo 6. 

H concetto di autorita di controlio capofila che agisce in qualita di unico interlocutore per quanto 
riguarda il trattamento transfrontaliero rappresenta uno dei pilastri del GDPR. Essa mira a 
conseguire I'uniformita e a creare certezza nell’interpretazione e nell'applicazione della normativa 
europea in materia di protezione dei dati personali. Qualsiasi tentative di eludere il ruolo e la 
competenza dell'autorita di controlio capofila non solo costituirebbe una violazione deli'articolo 56, 
ma significherebbe vanificare gli sforzl del GDPR per etiminare questa incertezza e incoerenza. 
Quest! concetti fondamentali sono, ad esempio, riconosciuti nel considerando 7 del GDPR, che 
afferma che "la certezza giuridica e operativa sia rafforzata tanto per le persone fisiche quanto per 
gli operator! economic! e le autorita pubbliche", e nel considerando 13 del GDPR, che rileva che "e 
prevenire disparita che possono ostacolare la libera circolazione dei dati personali nel mercato 
interna, e necessario un regolamento che garantisca certezza del diritto e trasparenza agli 
operator! economic!". 

In questo contesto, la presente Risposta e pertanto fornita su base volontaria, fatti saivi i nostri 
diritti rispetto agiurisdizione e legge applicabile. 

II. Cambridge Anaivtica 

Come indicato nelle nostre comunicazioni del 13 e 15 giugno 2018, sebbene I’applicazione del Dr. 
Kogan, che e diventata nota come "thisisyourdigitalHfe", potrebbe aver avuto accesso ai dati degli 
utenti Facebook in tutto il mondo, (e prove atlualmente a nostra disposizione indicano che il Dr. 
Kogan ha condiviso tali dati solo con SCL/Cambridge Analytics relativamente agli utenti Facebook 
situati negli Stati Uniti. 

A tutt'oggi non siamo a conoscenza di alcuna prova che suggerisca che il Dr. Kogan abbia fornito 
a Cambridge Analytics o SCL dati relativi agli utenti Facebook situati ne!rUE\ ne tanto meno in 
Italia. In questo contesto, non rileviamo come la questione Cambridge Analytica possa avere 
implicazioni significative in termini di protezione dei dati o di privacy per gli utenti Facebook situati 
in Italia. 

III, Accesso ai dati deall utenti Facebook da parte dl terzi 

A. Ruolo di Facebook come intermediario 

La piattaforma Facebook ("Piattaforma") e una piattaforma per la condivisione - la sua missione e 
quella di dare aile persone il potere di costruire una comunita e, in ultima anaiisi, di avvicinare il 
mondo. Le persone si uniscono e usano Facebook specificamente per restare in contatto con 
amici e familiari condividendo informazioni, per scoprire cosa sta succedendo nel mondo e per 
condividere ed esprimere cio che conta per loro. 

In questo contesto, sebbene abbia sempre cercato di educare ed informare i propri utenti sui 
funzionamento della Piattaforma, e importante notare che il ruolo di Facebook Ireland nella 
condivisione dei dati sulla Piattaforma (inclusa la condivisione dei dati da utente ad appiicazione) e 
queilo di un intermediario online: facillta le scelte di condivisione dei dati liberamente effettuate 
dagli utenti in reiazione ai dati che controllano, coerentemente con il loro diritto alia liberta di parola 


' Una considerazione che a quanio d risulta e stala rilevanle, ad eaanpio, per la dedsione deU'autorilJi spagnola per ia protezione dei 
dati personali di chiudere le rispettive indagini su questioni relative a Cambridge Analytica senza emettere alcuna sanzione nei 
confronti di Facebook Ireland. 
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e con I'imperativo di politica pubblica di aumentare la libera circoiazione dei dati {imperative che e 
stato espressamente riconosciuto nella precedente direttiva 95/46/UE sul trattamento dei dati 
personali e che e stato ora confermato dal GDPR^). 

Durante il periodo in cui i'applicazione del Dr. Kogan operava sulla Piattaforma, (a scelta di cosa e 
quanto condividere utilizzando i servizi tecnici contenuti nella Piattaforma e stata, in linea generals, 
una scelta degli utenti, non di Facebook Ireland. Gli utenti di Facebook Ireland erano chiaramente 
informati di come i loro dati potevano essere condivisi con le applicazioni e di cosa potevano fare 
per esercitare un controllo su questo processo^. Strumenti adeguati sono stati forniti attraverso i 
varl controlli sulla privacy a disposizione degli utenti della Piattaforma. Tra questi figurano i 
seguenti (collettivamente denominatl "Controlli sulla Privacy", come precedentemente riassunti 
nella nostra risposta alia domanda (a) nella nostra comuntcazione del 13 giugno 2018): 

• Gli utenti hanno deciso quali informazioni volevano condividere su Facebook in prime 
luogo; 

• Hanno deciso chi volevano come pubblico per qualsiasi informazione che non faceva parte 
del loro profile pubblico, ad esempio limitando il pubblico al solo utente o a un gruppo 
personalizzato di contatti selezionati piuttosto che a tutti gli amici; 

• Potevano scegliere di condividere le Informazioni con tutti I loro amici, ma limitare la 
possibility per le applicazioni dei loro amici di accedere a tali informazioni attraverso le 
scelte dettagliate offerte nelie impostazioni Apps Usate da Altri; oppure 

• Potevano scegliere di condividere le informazioni con i loro amici, ma bloccare 
completamente I’accesso di qualsiasi applicazione a tali informazioni tramite Timpostazione 
Platform Opt-Out 

Evidenziamo le seguenti caratteristiche relative alia capacity di condivistone del dati da utente ad 
applicazione che Facebook ha messo a disposizione degli utenti; 

(1) Facebook Ireland non ha ricevuto alcun pagamento a seguito della condivisione dei dati 
degli utenti con applicazioni di terze parti; 

(2) La condivisione dei dati degli utenti con le applicazioni di terze parti che utilizzavano 
Facebook Login si e sempre verificata per iniziativa degli utenti che stavano cercando di 
installare I'applicazione in questions: e stata la loro decisions di condividere i dati con 
I'applicazione che ha portato la stessa ad ottenere i dati; 

(3) il processo con cui gli utenti condividono i dati con le applicazioni e stato in effetti una 
transazione privata tra utente e applicazione, agevolata da Facebook Ireland; 

(4) II ruolo di Facebook Ireland neil’ambito di tale operazione e sempre stato quello di un 
intermediario online: tecnicamente Facebook Ireland ha facilitate le decisioni di condivisione 
dei dati effeltuate attivamente dai propri utenti. In effetti. il ruolo di Facebook Ireland era quello 
di rispondere, su base automatizzata, ai comandi di condivisione dei dati impartiti dagli utenti 
in relazione ai dati che essi stessi controllavano (che nella V1 della Piattaforma includevano 
alcuni dati che gli amici degli utenti avevano scelto di condividere con loro su Facebook, fatte 
salve le scelte sulla privacy effettuate da tali amici come risulta dal rispettivi Controlli sulla 
Privacy); e 

(5) Facebook Ireland ha potuto fornire tali mezzi tecnici solo nei casi in cui la trasmissione dei 
dati all'applicazione sia stata effettuata su esolicita indicazione dell'utente che ha installato 


^ Si veda, ad esempio, considerando 3 e articolo I, paragrafo 2, della direttiva 95/46/UE e articolo 20 del GDPR. 
^ Si vedano Ic risposic allc domandc (b), (c) e (i) della Richicsta nella nostra comunicaiuone del 15 giugno 2018, 



Traduzione di cortesia 


I'applicazione e, in base alia VI, sia stata altrimenti autorizzata da qualsiasi amico di tale 
utente in conformita con i rispettivi Controlll sulla Privacy. 

La raccolta di dati tramite Facebook Login da parte di queste applicazioni di terze parti indipendenti 
e sempre stata distinta dalle attivita di raccolta dati di Facebook Ireland. E state lo sviluppatore di 
applicazioni di terze parti che ha richiesto agli utenti t'autorizzazione a raccogiiere i dati e lo ha 
fatto in base; (i) agli obblighi contrattuali esistenti nei confront! dei propri utenti ai sensi dei termini 
e delle condizioni che aveva stipulate con tali utenti; e (ii) agli obblighi di legge ai quali era soggetto 
ai sensi della legislazione applicabile in materia di protezione dei dati personall in qualita di titolare 
autonomo del trattamento dei dati personali. La responsabilita e I'onere giuridico di controllare I'uso 
dei dati da parte di questi terzi spetta alle autoritadi conlrollo competent! piuttosto che a Facebook 
Ireland. Concludere altrimenti pregiudicherebbe ii concetto di titolare del trattamento dei dati e 
sarebbe inoltre contrario ai principi sanciti dalla normative deH'Unione Europea a tutela degli 
intermediari online. 

Tuttavia, con la volonta di andare oltre le proprie responsabilita legali al fine di fornire ulterior! 
garanzie ai propri utenti, Facebook Ireland ha imposto obblighi contrattuali alle applicazioni di terze 
parti che utilizzano la sua Piattaforma attraverso le sue Condizioni e la sua Politica della 
Piattaforma. Tra le altre cose, questo ha richiesto alle applicazioni di terze parti di mettere in atto 
poiitiche appropriate e di ottemperare alle leggi sulla privacy applicabili'’. Gli sviiuppatori dovevano 
inoltre osservare standard appropriati e rispettare il divleto di Facebook Ireland di vendere o 
concedere in iicenza i dati di utenti a cui utenti hanno avuto accesso dalla Piattaforma di Facebook 
Ireland e di condividere i dati di utenti Facebook con qualsiasi rete pubblicitaria, data broker o altro 
servizio legato alia pubblicita o alia monetizzazione. 

B. Monitbraggio e applicazione 



./ 
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Facebook Ireland ha un'esperienza di grande impegno, costruttivo e cooperative, con IDPC in 
qualita di autorita di controllo capofila. Questo comprende I'ampio e dettagliato lavoro di audit che 
riDPC ha svolto nel 2011 e nel 2012 per valutare la conformita di Facebook alle leggi applicabili 
sulla privacy {che ha portato alia Relazione di Audit 2011® e alia Relazione di Re-Audit 2012^). 
L'IDPC ha elogiato Facebook Ireland nel corso delte prophe attivita di audit 2011/2012 per 
I'approccio positive e I'impegno di Facebook Ireland a rispettare i diritti alia privacy dei propri 
utenti®. 

A seguito del processo di audit 2011/2012, I'lDPC e stato chiaro nel determinare che I'audit e le 
raccomandazioni che ne sono scaturite non hanno constatato la mancata conformita deile pratiche 
di Facebook Ireland rispetto alia legge europea sulla protezione dei dati (cosi come recepita dalla 
legge irlandese sulla protezione dei dati®). In effetti, f'lDPC ha formulate le proprie 
raccomandazioni come raccomandazioni di migliore prassi ('best practice'), vale a dire al di la della 
conformita gluridica. Nel giungere alle sue conclusion! sulla condivisione dei dati da utente ad 
applicazione sulla Piattaforma, I'lDPC e stato informato mediants dettagliate relazioni tecniche 
redatte da un esperto indipendente incaricato dall’IDPC, che comprendevano una spiegazione dei 
funzionamento della Piattaforma e di come gli utenti potevano consentire la condivisione dei dati 
degli amici con applicazioni di terze parti. Queste relazioni tecniche, elaborate a seguito di un 
ampio esame diretto dei sistemi Facebook, sono state rese pubbliche insieme alle Relazioni di 
Audit deiriDPC e hanno corroborate le raccomandazioni sulle migliori prassi formulate dall’IDPC. 
L'aspetto importante e che I'audit IDPC, il funzionamento della Piattaforma ed i risultati ottenuti 
sono stati caratterizzati da una notevole trasparenza. 

Nell'ambito del processo di audit 2011/2012, I’lDPC ha preso in particolare considerazione I'utilizzo 
di applicazioni di terzi sulla Piattaforma. Un lavoro analogo e stato svolto anche da altre autorita di 
controllo, in particolare dal Canadian Office of the Privacy Commissioner, dalla US Federal Trade 
Commission ("FTC") e dalle autorita nordiche e tedesche per la protezione dei dati. L'IDPC ha 
osservato che I'FTC ha esaminato il funzionamento delle applicazioni di terzi sulla Piattaforma e la 
portata dei dati ai quali le applicazioni di terzi possono cercare di accedere.^® L’IDPC ha inoltre 
esaminato una serie di question! specifiche sollevate nei rectami indirizzati aH’Ufficio dal gruppo 
"Europe-versus-Facebook", dal Consiglio Norvegese dei Consumatori e da un certo numero di 
persone fisiche. Questi reclami includevano il suggerimento (errato) che "gli utenti Facebook non 
sono a conoscenza del fatto che se un loro amico di Facebook installa un'applicazione, tale 
applicazione ha la possibility di accedere alle informazioni di base del profilo di quell’amico 
dell'utente, come foto e name". Queste parti sono state in grado di soilevare question! con I'lDPC 
sulle sue opinion! iniziali e sulle risposte pubblicate da Facebook Ireland. 

L'IDPC ha dichiarato che il funzionamento delle applicazioni di terze parti e stato uno dei punti 
focali del lavoro di audit” e alia luce dei reclami ricevuti in merito alia questions ha esaminato in 
particolare come garantire che gli utenti siano in grado di effettuare scelte informate sui dati che gli 
amici possono condividere con le applicazioni di terze parti’^. L'IDPC ha rilevato che gli utenti 
potevano gla fare tale scelta utilizzando i loro Controlli sulla Privacy, ma ha raccomandato a 


httPs://vwvw.dataDrotection,ie/documents/facebook%20report/tinal%20report/repoft.pdf 
^ httDs://www.dataprotection.ie/documents/press/Facebook Ireland Audit Review Report 21 Sept 2012.pdf 

8 IDPC 2011 Relazione di Audit, p 3 

9 IDPC 2011 Relazione di Audit, p 4 

10 Clr. PTC 29 novembre 2011 Reclamo, paragrafo 9. Questo ha asservato: "Facebook ha progettaio la sua Piattaforma in modo tale 
che le Applicazioni della Piattaforma possano accedere alle informazioni sul profilo utente in due istanze piincipali. In prime luogo, 
le Applicazioni della Piatlafonna che un utente autorizza pos.scHio accedere alle informazioni sul profilo deH'uienie. In secondo luogo, 
se 1’"Amico" di un utente autorizza un'Applicazione della Piattaforma, tale applicazione pub accedere ad alcune delle informazioni 
del profile dell'utente, anche se I'ulentc non ha autorizzato tale Applicazione. Ad esempio, sc un utente autorizza un'Applicazione 
della piattaforma che fornisce promemoria sui compleanni degli Amici, tale applicaaone potrebbe accedere, tra le altre cose, ai 
compleanni degli Amici deH'utenie, anche se questi Amici non h<mno mai autorizzato Tapplicazione". Vedere anche Relazione di 
Audit IDPC 2011, pagina 87. 

11 IDPC 2012 Relazione di Rc-Audii, pagina 29 

12 IDPC 2012 Relazione di Re-Audit, pagina 31 
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Facebook Ireland di migliorare la scelta e il controllo granulare in quest’area^^ A seguito di ulteriori 
modifiche apportate da Facebook Ireland. I’lDPC ha successivamente rilevato la positiva adozione 
delle proprie raccomandazioni sulle migliori prassi, anche nei settori chiave della trasparenza, del 
controllo degii utenti e della sicurezza del dati’'*. 

Per il resto facciamo riferimento e rimandiamo, in partlcolare, alle seguenti sezioni delle Relazioni 
di Audit IDPC: 

• Sezione 3.1 della Relazione di Audit 2011 - Privacy Policy / Data Use Policy - L'IDPC ha 
registrato risposte soddisfacenti da parte di Facebook Ireland per quanto riguarda la 
semplificazione e la crescente evidenza della sua Privacy Policy. Infatti, I'ambizione di 
IDPC era di garantire "una maggiore capacita degii utenti di fare te proprie scelte informate 
sulla base delle informazioni disponibiW^^. Nella Relazione di Re-Audit 2012, I’lDPC ha 
registrato che Facebook Ireland ha apportato modifiche alia comunicazione " appena in 
tempo" di informazioni agli utenti, il che significa che "quando un utente sta effettuando una 
scelta o e invitato a fare una scelta su come desidera che i suoi dati personal! siano 
utilizzati, gli siano presentate in quel momento informazioni pertinent! e comprensibili su cui 
basare la propria sce/fa'®". Per una trattazione complete si rimanda alia sezione 3.1 della 
Relazione di Audit 2011 e alle pagine 13-15 della Relazione di Re-Audit 2012, 

• Sezione 3.6 della Relazione di Audit 2011 - Applicazioni di terzi - L'IDPC ha registrato nella 
sua Relazione di Audit 2012 che il funzionamento delle applicazioni di terzi "d stato un 
punto focale significative del nostro Audit di dicembre [2011 e che Facebook Ireland ha 
attuato in maniera soddisfacente la maggior parte delle raccomandazioni dell'IDPC. Una 
discussione complete si trova alia sezione 3.6 della Relazione di Audit 2011 e alle pagine 
33-34 della Relazione di Re-Audit 2012. 

• Le principali raccomandazioni e conclusioni delle Relazioni di Audit IDPC sono ripetute di 
seguito per comodita di riferimento. 

o Raccomandazione 1: attraverso informazioni e strumenti adeguati gli utenti devono 
essere messi in grado di prendere decision! informate quando concedono I’accesso 
ai loro dati da parte di applicazioni di terzi. (L’IDPC ha preso nota in particolare che 
Facebook ha fornito informazioni chiare prima deil'installazione deH'applicazione del 
Dr. Kogan, commentando: "riteniamo che gli sviluppi di cui sopra abbiano fornito 
agii utenti un mezzo per esercitare una scelta basata su informazioni chiare prima di 
decidere se installare un'applicazione").'^ 

o Raccomandazione 4: Facebook dovrebbe verificare se i link alle politiche sulla 
privacy delle applicazioni di terze parti siano attivi. "Siamo quindi lieti che FB-I ha 
adottato questa raccomandazione e ha presentato uno strumento interno che 
garantisce che tutte le applicazioni disponibili sul sito abbiano un link attivo alia 
politica sulla privacy'. 

o "Conclusione: Abbiamo verificato che non era possibHe per un'applicazione 
accedere ai dati personal! oftre a quefli a cui un individuo da il proprio consenso o 
che ha abilitato tramite le relative impostazioni".^ 


13 IDPC 2012 Relazione di Re-Audit, pagina 31 

14 2012 Relazione Annuale, pagina 3 and pagina 19. 

https://www.dataproteccion.ie/documents/annualreports/Annual_Repoit_2012.pdf 
IDPC 2011 Relazione di Audit, pagina 42 
IDPC 2012 Relazione di Re-Audit, pagina 14 
” IDPC 2012 Relazione di Re-Audit, pagina 29 
IDPC 2012 Relazione di Re-Audit, pagina 30 
IDPC 2012 Relazione di Re-Audit, pagina 30 
IDPC 2012 Relazione di Re-Audit, pagina 30 
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o Sezione 3.9 della Relazione di Audit 2011 - Sicurezza dei dati - Nella Relazione di 
Audit 2011, i'IDPC ha rilevato di aver dedicate "una particolare attenzione durante 
{'audit alia valutazione delie questioni di sicurezza",^’ In effetti, I'IDPC ha 
riconosciuto che anche Facebook "pone un'enorme e costante attenzione alia 
protezione e alia sicurezza dei dati degli utenW.^^ Una discussione completa si trova 
al paragrafo 3.9 della Relazione di Audit 2011 e alle pagine 39-41 della Relazione di 
Re-Audit 2012. 

E' sorprendente che codesta autorita sembri indicare, circa sette anni dopo, che ora nutre 
preoccupazioni riguardo al funzionamento della Piattaforma dal 2011/2012 in avanti. Cio e tanto 
pill vero se si considera che: (a) I'IDPC non ha condotto la sua revision© in maniera isolata e si e 
attivamente consultato con i membri del Gruppo di lavoro UE Articolo 29 (Working Party Article 
29)', e (b) nel 2011 sono state pubblicate dall'IDPC informazioni dettagliate sulla condivisione dei 
dati da utente ad applicazione sulla Piattaforma (comprese le informazioni sulla portata dei dati a 
cui !e applicazioni terze parti potrebbero chiedere di accedere). 

Nella sua Relazione Annuale 2012, I'IDPC ha riassunto i risultati delle Relazioni di Audit IDPC 
come segue (enfasi aggiunta): 

"Nel 2011 e state condotto un importante audit su Facebook Ireland (FBd), la cui relazione e 
stata pubblicata nel dicembre 2011. A seguito dell'audit, FB-I ha accettato un'ampia gamma 
di migliorie in materia di "migliori prassi", con un esame formale dei progress! che si svolgera 
nel luglio 2012. 

Nel settembre 2012, il Dipartimento ha pubblicato i risultati della nostra revisions 
dell’implementazione da parte di Facebook Ireland (FB-I) delle raccomandazioni formulate 
nel nostro Audit. 

Dalla Revisione e emerso che la grande maggioranza delle raccomandazioni e stata 
pienamente attuata in modo soddisfacente, in particolare nelle seguenti aree: 

• L’offerta di una maggiore trasparenza per I’utente nel modo in cui vengono gestiti i suoi 
dati, 

• L'offerta di un maggiore controllo dell'utente sulle impostazioni, 

• L'attuazione di period! di conservazione chiari per la cancellazione dei dati personali o 
una maggiore capacita ci cancellazione dell'utente, 

• II rafforzamento del diritto dell'utente ad avere un accesso immediate ai propri dati 
personali e la capacita di FB-I di garantire una rigorosa valutazione del rispetto dei 
requisiti iriandesi e dell'UE in materia di protezione dei dati. 

Le raccomandazioni che all'epoca non erano state attuate da FB-I sono state evidenziate 
con un chiaro programma di attuazione. E stato fissato un termine di 4 seitimane per la 
conclusione soddisfacente di tali questioni e FB-i ha compiuto progress! soddisfacenti nel 
periodo di quattro settimane. LVfficio continue a mantenere un dialogo costante con FB-I sulle 
implicazioni per la protezione dei dati di tutti i nuovi servizi man mano che quest! vengono 
introdotti. 

Nel corso deU’anno I'Ufficio si e ampiamente consultato con i colleghi di altre Autorita 
preposte alia Protezione dei Dati su questioni che sono emerse nell'ambito del processo di 
Audit e su questioni che hanno destato preoccupazione o interesse per i colleghi in 
generale. Nella misura in cui cid e stato possibiie, abbiamo cercato di tenere conto di tali 
questioni e di ottenere risultati soddisfacenti. do e emerso dal nostro riconoscimento del fatto 


IDPC 2011 Relazione di Audit, pagina 107 
^ IDPC 2011 Relazione di Audit, pagina 108 
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che, sebbene fossimo responsabili della supervisione di Facebook in Europa attraverso la sua 
societa iriandese, era necessario consuitare pienamente e tenere conto delie opinioni dei colleghi i 
cui cittadini nutrono preoccupazioni su alcuni aspetti legati airutilizzo dei loro dati personali da 
parte di Facebook". 

II risultato di queste conclusioni e che, alia fine del processo di audit, I’lDPC ha considerate 
I'approccio di Facebook Ireland alia trasparenza, al controllo e alia sicurezza dei dati sulia 
Piattaforma come giuridicamente inoppugnabile. Come e ragionevole attendersi, Facebook Ireland 
si e basata su queste conclusioni andando avanti, come aveva il diritto di fare. 

In questo contesto e importante considerare che, al fine di garantire la libera circolazione dei dati in 
Europa, che era a sua volta un pilastro fondamentale della direttiva (e ora del GDPR), le autorita di 
controllo dovrebbero sforzarsi di svolgere i loro compiti di regolamentazione in modo altamente 
Concorde. Qualsiasi aitro approccio aH'attuazione della normative all'lnterno dell'LlE rischta di avere 
un effetto limitante significative sulla realizzazione della mobilita dei dati in Europa ed e inoltre 
scorretto nei confronti dei titolari del trattamento che hanno il diritto di presumere che le autorita di 
controllo deH'UE applicheranno in generate le leggi sulla protezione dei dati in modo coerente e 
uniforme in tutta I'UE. 

Per completezza notiamo che, come saprete, I’ufficio del UK Information Commissioner {'’ICO”) ha 
recentemente emesso una sanzione nei confronti di Facebook in relazione alia questione 
Cambridge Analytica. Facebook Ireland sta attualmenle riesaminando la decisions deli'ICO e 
avrebbe il diritto di impugnare tale sanzione dinanzi al tribunate "English Information" sulla base 
del fatto che essa e gravemente viziata da molteplici e gravi errori di fatto e di diritto compreso, 
non da ultimo, il fatto che I’lCO non ha tenuto conto deile conclusioni raggiunte dall'IDPC (in 
consultazione con altre autorita europee per la protezione dei dati personali) nei contesto della sua 
revisions dell'approccio di Facebook Ireland alio scambio di dati da utente ad applicazione sopra 
illustrato. 

IV. L’ulterlore Richlesta 


Come punto di partenza per quanto riguarda le questionl sollevate nella Ulteriore Richiesta, e 
necessario chiarire lo scopo del nostro strumento Ballot, nonche le iniziative specifiche che si sono 
svolte nell'ambito deile etezioni italiane del 2018. Questo perche dalla sintesi fornita nella 
comunicazione di codesta autorita contenente I'Ulteriore Richiesta sembra che ci possa essere 
una certa confusions al riguardo. 

Ballot era uno strumento messo a disposizione degli utenti italiani per facilitare I'accesso alle 
informazioni sui candidati nei loro distrelto elettorale. Oltre a facilitare I’accesso alls informazioni 
sui candidati - e a seguito della collaborazione con il Ministero dell’lnterno. la Presidenza del 
Consiglio dei Ministri e varie altre organizzazioni e candidati in tutto il paese - Ballot includeva 
anche un video tutorial per educare gli utenti sui nuovi requisiti di veto e suite nuove leggi elettorali 
che venivano introdotte in Italia. 

Lo strumento e stato reso disponlbile per I'utilizzo su base "opt-ln", il che signifies che era del tutto 
facoltativo per gli utenti deciders se usufruire o meno con il prodotto. 

Desideriamo sottolineare che Ballot e stato lanciato esclusivamente come strumento di educazione 
civica e di coinvolgimento, come parte del nostro impegno a sostegno di una comunita informata e 
civicamente impegnata sulla nostra piattaforma. Lo strumento non e stato in alcun modo lanciato 
per il "monitoraggio del comportamento elettorale", contrariamente a quanto dichiarato nella vostra 
comunicazione. Infatti lo strumento e stato appositamente progettato per non registrars 
informazioni su come i singoli utenti possono aver votato nelie etezioni. 

Separatamente, e come iniziativa distinta dal nostro prodotto Ballot, come ulteriore parte del nostro 
impegno a sostenere I'impegno civico sulla nostra piattaforma per le etezioni del 2018, abbiamo 
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pubblicato un promemoria del giorno delle elezioni nelle Notizie degli utenti italiani. Questo 
promemoria ha fornito agli utenti informazioni su come e dove votare e ha anche dato loro la 
possibilita di condividere il fatto che avevano votato. Abbiamo anche reso disponibili i risultati 
elettorali su Facebook dopo la chiusura dei sondaggi e, dopo la formazione del nuovo governo, 
abbiamo fornito una notifica in-app che permetteva agli utenti di scoprire chi erano i loro attuali e 
nuovi rappresentanti. 

In questo contesto, le domande specifiche sollevate neH'Ulteriore Richiesta sono di seguito 
considerate nel dettaglio: 

(a) Quale trattamento sia stato effettuato rispetto ai dati personal! acquisiti con i file di log 
relativi all'accesso dei singoli utenti ai profiii dei candidati e alia loro eventuale 
manlfestazione di aver votato? 

Come spiegato nella nostra risposta del 21 maggio 2018, abbiamo ottenuto dei log di base delle 
azioni degli utenti che hanno sceito di utilizzare Ballot. Queste informazioni sono state utilizzate 
solo alio scopo di generare metriche di ingaggio aggregate - doe metriche generalizzate che 
forniscono una panoramica su come gli utenti di Facebook nel loro complesso si sono confrontati 
con il prodotto, e non un'analisi su come specifici individui possono aver utilizzato il prodotto. 
Queste metriche aggregate ci hanno alutato a comprendere come il prodotto veniva utilizzato e 
come poteva essere migliorato per renderlo piu utile in generale per gli utenti nelle future elezioni, 
sia in Italia che in alth paesi. I dati di log sottostanti utilizzati per creare queste metriche aggregate 
sono stati cancellati dopo 90 giorni. 

Per quanto riguarda la seconda parte della vostra domanda - vale a dire quale trattamento sia 
stato effettuato rispetto ai dati personal! contenuti nei post degli utenti che manifestavano di aver 
votato - non abbiamo monitorato il contenuto dei post che gli utenti hanno sceito di pubblicare per 
valutare o comprendere in alcun modo le loro decision! di voto. Lo scopo dei messaggi che 
abbiamo inviato agli utenti era semplicemente quello di incoraggiare fimpegno dvico sulla nostra 
piattaforma. Come per tutti i loro post, gli utenti possono vedere do che hanno postato in 
precedenza e canceilarlo in qualsiast momento, anche attraverso il loro Registro Attivit^.^^ 

(b) A quale finalita tale trattamento rispondeva? 

Si veda la nostra risposta alia precedente lettera (a). 

(c) Di quail dati era costituito r"indirizzo postale" (I'indirizzo nella sua interezza o solo M 
CAP)? 

Se un utente desiderava utilizzare il prodotto Ballot, poteva inserire I! proprio indirizzo postale 
complete. Cio era necessario per garantire che la rispettiva circoscrizione elettorale fosse 
correttamente identificata e che venissero mostrate all’utente le corrette informazioni sul candidate 
- ad esempio, la semplice indicazione di un codice postale sarebbe stata insufficiente per accertare 
in modo affidabile la circoscrizione elettorale di un utente. Come spiegato nella nostra 
comunicazione precedente, agli utenti e stato dato pieno controllo sulle informazioni circa 
I'indirizzo che hanno sceito di fornire in questo modo (supponendo in primo luogo che avessero 
sceito di utilizzare il prodotto Ballot). Gli utenti potevano saltare Tinsertmento o, una volta venuti a 
conoscenza dei loro candidati locali, potevano rlmuoverlo o modificarlo. 

d) Quali informazioni sono state fornite agli interessati in merito ai predetti trattamenti? 

Come spiegato nella nostra precedente risposta, la nostra Data Policy ha spiegato agli utenti quali 
informazioni abbiamo raccolto e come le abbiamo utilizzate. Ad esempio, la Data Policy in vigore a! 
momento delle elezioni del 2018 prevedeva quanto segue: 


^ hUDs://wvvw.raccboQk.com/liclD/289066827791446 
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I. Che tipo di informazioni raccogliamo? 

A seconda dei Servizi che utilizzate, raccogliamo diversi tipi di informazioni da voi o su di 
voi. 


• Cose che fai e informazioni che fornisci. Raccogliamo il contenuto e le altre 
informazioni fornite dall'utente quando utilizza i nostri Servizi, anche quando si 
registra un account, crea o condivide, e invia messaggi o comunica con altri. Questo 
pud includere informazioni sul contenuto fomito dall'utente, come la localizzazione di 
una foto 0 la data di creazione di un file. Raccogliamo anche informazioni su come 
gli utenti utilizzano i nostri Servizi, come ad esempio i tipi di contenuti che 
visualizzano o utilizzano o la frequenza e la durata delle loro attivita. 

[...] 

II. Come utifizziamo queste informazioni? 

Siamo motivati a creare esperienze coinvoigenti e personalizzate per le persone. 
Usiamo tutte le informazioni che abbiamo per aiutarci a fornire e supportare i nostri 
Servizi. Ecco come: 

• Fornire, migliorare e sviluppare / Servizi. Siamo in grado di fornire i nostri Servizi, 
personalizzare i contenuti e dare suggerimenti per voi utilizzando queste 
informazioni per capire come usate e interagite con i nostri Servizi e con le persone 
0 cose a cui siete connessi e interessati dentro e fuori dai nostri Servizi. [.....] 
Effettuiamo indagini e hcerche, testiamo le funzionalita in fase di sviluppo e 
analizziamo le informazioni di cui disponiamo per valutare e migliorare prodotti e 
servizi, sviluppare nuovi prodotti o funzionalita, condurre audit e attivita di risoluzione 
dei problem!. 

[...] 

III. Come vengono condivise queste informazioni? 

Condivisione sui nostri Servizi 

Le persone utilizzano i nostri Servizi per connettersi e condividere con gli altri. Lo 
rendiamo possibile condividendo le tue informazioni nei seguenti modi: 

• Le persone con cui condividi e con cui comunichi. Quando condividi e comunichi 
utilizzando i nostri Servizi, scegli il pubblico che pud vedere do che condividi. Ad 
esempio, quando pubblichi su Facebook, selezioni il pubblico per il post, come un 
gruppo personalizzato di individui, tutti i tuoi Amici o membri di un Gruppo. Alio 
stesso modo, quando usi Messenger, scegli anche le persone a cui inviare foto o 
messaggi. Le informazioni pubbliche sono tutte le informazioni che condividi con un 
pubblico, cost come le informazioni del tuo Profile Pubblico, o i contenuti che 
condividi su una pagina Facebook o un altro forum pubblico. Le informazioni 
pubbliche sono disponibili a chiunque, dentro o fuori dai nostri Servizi e possono 
essere visualizzate o accessibili attraverso motori di ricerca online, API e media 
offline, come ad esempio in TV. In alcuni casi, le persone con cui condividi e con cui 
comunichi possono scaricare o condividere nuovamente questo contenuto con altri, 
sia all’interno che all'esterno dei nostn Servizi. Quando commentate un post di 
un'altra persona o vi place il loro contenuto su Facebook, quella persona decide il 
pubblico che pud vedere il vostro commento o il mi piace. Se il loro pubblico e 
pubblico, anche il tuo commento sara pubblico. 
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[...] 

IV. Come posso gestire o cancellare le informazioni che mi riguardano? 

Puoi gestire i contenuti e le informazioni che condividi quando usi Facebook 
attraverso lo strumento Registro Attivita. Puoi anche scaricare le informazioni 
associate al tuo account Facebook attraverso il nostro strumento Scarica le tue 
informazioni. 

I dati vengono conservati per tutto il tempo necessario per fornire prodotti e servizi a 
te e ad altri, compresi quelli sopra descritti. Le informazioni associate al tuo account 
saranno conservate fino alia cancellazione del tuo account, a meno che non siano 
piu necessari per fornire i prodotti e servizi. 

Puoi cancellare il tuo account in qualsiasi momenta. Quando cancelli il tuo account, 
cancelliamo le cose che hai postato, come le tue foto e gli aggiornamenti di stato. Se 
non vuoi cancellare il tuo account, ma vuoi interrompere temporaneamente I'utilizzo 
di Facebook, puoi disattivare il tuo account. Per ulteriori informazioni su come 
disattivare o eliminare il tuo account, clicca qui. Tieni presents che le informazioni 
che altri hanno condiviso su di te non fanno parte del tuo account e non verranno 
eliminate quando cancellerai il tuo account. 

L'attuale Normativa sui dati, da allora aggiomata, e disponibile al seguente link: 
httDs://www.facebook.corn/pollcv.Dhp . 

Come spiegato anche neila nostra risposta precedente, Ballot ha fornito agli utenti 
specifiche indicazioni inserite nel prodotto stesso e "in tempo reale" che erano 
mostrate nel momento in cui veniva presentata agli utenti la possibilita di inserire il 
proprio indirizzo. Questo includeva istruzioni su come gli utenti potevano modificare 
0 rimuovere queste informazioni In qualsiasi momento, cosi come un link "Per 
saperne di piu" per quegli utenti che erano interessati a scoprire informazioni piCi 
dettagliate sul perch6 Facebook avesse bisogno del loro indirizzo per Ballot e su 
come tali informazioni sarebbero state utilizzate. Informazioni simili erano 
generalmente disponibili anche nel nostro Centro Assistenza.^'* 

e) Cosa si intende con I’espressione "matrici di ingaggio aggregate" (risposta del 21 
maggio 2018), fornendo possibilmente degli esempi? 

Come spiegato neila nostra risposta alia domanda(a) di cui sopra, le matrici di ingaggio aggregate 
sono matrici che forniscono una panoramica su come gli utenti Facebook nel loro insieme si 
rapportano ad un prodotto. Non sono una sorta di analisi su come specifici individui possono aver 
utilizzato il prodotto Ballot. Queste matrici di ingaggio aggregate ci hanno aiutato a comprendere 
come il prodotto Ballot veniva utilizzato in generale e come poteva essere migliorato per renderlo 
piu utile per gli utenti nelle elezioni future. Ad esempio, abbiamo analizzato la quantita media di 
tempo dedicate alle diverse caratteristiche del prodotto, come indicators del fatto che gli utenti in 
generale trovassero tali caratteristiche utili o interessanti. Questa analisi ci ha permesso di 
prendere decisioni piu ponderate su quail parti del prodotto potrebbero trarre beneficio dai 
miglioramenti. 

f) Con riferimento infine all'espressione utilizzata nelle FAQ "le informazioni che fornisci 
possono anche essere utilizzate per future funzioni di Facebool^', quali sono in dettaglio i 
dati personal! richiesti agli utenti "per future funzioni di Facebook" e quali sono le finalita 
per le quali possono essere conservati tali dati personal!? 


^‘' h[cps://wvvw.racebook.com/hcln/2996182237«2909 
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Al momento utilizziamo le informazioni sugli indirizzi fomiti dagli utenti italiani di Facebook 
attraverso I'uso di Ballot soltanto ai fini delle funzioni elettorali e governative su Facebook. Le 
uniche funzioni di questo tipo finora introdotte in Italia che hanno utilizzato tali Informazioni sugli 
indirizzi - se gli utenti hanno scelto di fornirle - sono Ballot e la notifica in-app che § stata rilasciata 
sul mobile dopo le elezioni del 2018 , invitando gli utenti a individuare e seguire i loro nuovi 
rappresentanti eletti, come spiegato sopra. 


Spero che queste informazioni siano utili per rispondere alle domande che avete posto. Non 
esitate a contattarci se avete bisogno di ulteriori informazioni. 

Vi alleghiamo una traduzione italiana di cortesia della presente comunicazione. 

Oistinti saluti 


Head of Data Protection, Facebook Ireland Limited 



